ב-29 באוקטובר רץ באתר Polymarket קוד זדוני שמכר פוזיציות של סוחרים מחוברים והעביר את הכספים לתוקף. הקוד הגיע דרך סקריפט למדידת ביצועי עמוד שהאתר טען מספק חיצוני בשם DebugBear, ולא דרך פריצה לשרתי Polymarket עצמם.
הפרטים
לפי הדיווח, Polymarket מחזירה כ-2.7 מיליון דולר ל-726 ארנקים שנפגעו. רשומות הבלוקצ'יין מראות שכ-2.64 מיליון דולר ב-POL הגיעו לארנק התוקף בתוך שעה. DebugBear מסרה שרשומות ה-DNS שלה נפרצו דרך הרשם, ושההתקפה כוונה כנראה ללקוח אחד. עדיין לא נמצאה פריצה למערכות שלה, והחקירה נמשכת. לפי ניתוח של Hudson Rock, שבחן את הקובץ בלי להריץ אותו, הסקריפט ניצל את ההרשאות של סוחר מחובר בעמוד פתוח, ובחשבונות מבוססי אימייל מכר פוזיציות במחירים הולכים ומתדרדרים.
Polymarket הסירה את הסקריפט תוך כשעה, אפסה סשנים, עצרה מסחר והפנתה את המקרה לגורמי אכיפה. עד 30 באוקטובר 689 מתוך 726 הארנקים קיבלו החזר מלא. החברה משלמת בנפרד 1.19 מיליון דולר לכ-5,500 ארנקים שהפסידו בזמן ההשבתה או שפוזיציותיהם נלקחו.
נקודות לשים לב
- סקריפט צד שלישי בעמוד שבו משתמשים חותמים על עסקאות הוא משטח תקיפה. הסר קוד חיצוני שאינו הכרחי מעמודים כאלה.
- השתמש ב-Subresource Integrity (SRI) היכן שאפשר לנעוץ את הקובץ, ובמדיניות CSP מחמירה. Polymarket עצמה מתכננת CSP חזק יותר, נעיצת גרסאות ו-sandbox.
- הפריצה כאן הייתה אצל הספק (DNS דרך הרשם), לא באתר הלקוח. נעילת הרשם והגנה על רשומות DNS רלוונטיות גם לספקים שלך.
- סוחר צריך לדחות כל בקשת חתימה שלא ציפה לה. Hudson Rock מציינת שבקשת חתימה לבדה אינה מוכיחה שהסוחר אישר אותה.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
